オハイオ州モンゴメリーを拠点とするUnlimited Technology Systems, LLC（以下「Unlimited」）は、全米の医療機関・医療従事者に対してプラクティス管理ソフトウェアを提供する企業である。同社は2025年10月19日、商用データセンター内での不審な活動を検知したと公表している。
アイオワ州司法長官府への公式届出書簡（Kirkland & Ellis LLP作成、2026年7月21日付）によれば、Unlimitedは検知後直ちに大手サイバーセキュリティ・フォレンジック企業を起用して調査を開始するとともに法執行機関に通報し、対象データの精査を実施した。調査の結果、不正な第三者が2025年10月5日から10日までの間に一部個人の個人情報のコピーを取得していた証拠が確認された。
漏えいした可能性のある情報は個人により異なるが、氏名に加え、健康保険・患者負担額情報（保険証券番号、請求・給付情報）、医療情報（医療記録番号、診療日、診断情報）、運転免許証等のスキャン文書、社会保障番号、生年月日・メールアドレス・住所・電話番号などの個人情報が含まれる。同社はフルの診療記録・医療画像・クレジットカードや銀行口座情報は本件の対象に含まれないとしている。公式届出にはランサムウェアや暗号化、身代金要求を示す記述は一切なく、原因は「商用データセンター内での不正なアクティビティ」とのみ説明されている。加害者を名乗るランサムウェアグループ等の犯行声明も確認されていない。
Unlimitedは影響を受けたデータの保有元である医療機関等（データオーナー）と連携して対象者の郵送先を特定し、各データオーナーの依頼に基づき2026年7月21日から通知書の発送を開始した。同日付でアイオワ州司法長官府に提出された届出では、同州居住者約162,478人に通知する予定であることが明記されている。同社はマサチューセッツ州・サウスカロライナ州・テキサス州・カリフォルニア州など複数州の司法長官にも同様の届出を行っており、報道によれば各州の届出件数を単純合計すると全国の被害者数はアイオワ州の数字を大きく上回るとみられるが、本件記録時点で確定した全国合計は公表されていない。本件は届出時点でHHS公民権室（OCR）の侵害ポータルには未掲載であり、正確な全国規模の被害者数は依然として不明である。
Unlimitedは通知対象者に対し、Krollによる24カ月間の無償アイデンティティ・モニタリングサービス（クレジットモニタリング、詐欺相談、なりすまし被害の復旧支援を含む）を提供している。同社は「発覚後、再発防止のための強化されたセキュリティ対策を実施した」としているが、具体的な対策の内容（多要素認証の導入やネットワーク分離など）は公式文書では明らかにされていない。侵入発覚（2025年10月19日）から被害者への通知開始（2026年7月21日）まで約9カ月を要した。